L’essentiel
La vérification sur place a révélé l’absence de procédure d’identification et d’authentification individuelles pour accéder au traitement des donneurs, ainsi que l’utilisation d’un mot de passe commun aux médecins. Le dossier soumis à la CNIL ne décrivait pas davantage les mesures de sécurité demandées, malgré plusieurs sollicitations.
En application de l’article 21, alinéa 4, de la loi du 6 janvier 1978, la Commission adresse un avertissement au directeur du centre et exige la mise en œuvre rapide des mesures de sécurité préconisées, compte tenu de la nature du traitement. L’incertitude sur la présence effective d’une donnée sensible dans le fichier n’empêche donc pas la sanction d’insuffisances de sécurité objectivement constatées.
En résumé
- Avertissement prononcé pour des mesures de sécurité insuffisantes
- Article 36 : protection contre les accès non autorisés
- Absence d’identification individuelle et mot de passe commun
- Vérification sur place déterminante malgré l’incertitude sur la donnée
- Mesures correctives à mettre en œuvre rapidement
Contexte de l’affaire
La CNIL a procédé à une vérification sur place. Celle-ci n’a pas permis d’établir avec certitude que la mention figurait sur la fiche du donneur ou dans le traitement informatique, et cette donnée n’a pas été constatée lors du contrôle.
En revanche, le traitement n’était protégé par aucune procédure d’identification et d’authentification individuelles. Les médecins utilisaient un mot de passe commun. Les demandes de la CNIL concernant la description des mesures de sécurité étaient également restées sans réponse. La Commission a adressé un avertissement au directeur du centre.
Conditions / critères (ce que le juge vérifie)
- Traitement automatisé d’informations nominatives concernant des donneurs
- Obligation de préserver la sécurité des informations traitées
- Absence d’identification et d’authentification individuelles
- Utilisation d’un mot de passe commun par les médecins
- Nature du traitement justifiant des mesures de sécurité adaptées
- Demandes de la CNIL restées partiellement ou totalement sans réponse
Preuves retenues (ce qui a fait pencher la décision)
- Constatations de la vérification sur place
- Absence de procédure d’identification et d’authentification individuelles
- Existence d’un mot de passe commun aux médecins
- Dossier de demande d’avis ne décrivant pas les mesures de sécurité
- Correspondances de la CNIL demeurées sans réponse
Conséquences pratiques
- Avertissement adressé au responsable du traitement
- Renforcement des contrôles d’accès au fichier
- Identification individuelle des utilisateurs
- Suppression des mots de passe partagés
- Formalisation et transmission des mesures de sécurité
Checklist pour Avocats
À faire
- Mettre en place une identification individuelle des utilisateurs
- Attribuer des moyens d’authentification personnels
- Supprimer les mots de passe communs
- Décrire précisément les mesures de sécurité
- Répondre aux demandes de la CNIL
À éviter
- Laisser un accès sans authentification individuelle
- Partager un mot de passe entre médecins
- Négliger la protection des données sensibles
- Ignorer les demandes de compléments de la CNIL
- Différer la mise en œuvre des mesures préconisées
FAQ / Q-R juridiques
La sécurité des traitements de données personnelles
L’article 36 de la loi n° 78-17 du 6 janvier 1978 impose de prendre toutes précautions utiles pour préserver la sécurité des informations, empêcher leur déformation ou leur endommagement et éviter leur communication à des tiers non autorisés. L’absence d’identification et d’authentification individuelles, associée à un mot de passe commun, caractérise une insuffisance au regard de la nature du traitement.
Le pouvoir d’avertissement de la CNIL
En application de l’article 21, alinéa 4, de la loi du 6 janvier 1978, la CNIL peut adresser un avertissement. Elle l’a exercé après des demandes restées sans réponse et une vérification ayant révélé des mesures de sécurité insuffisantes, en exigeant leur mise en œuvre dans les meilleurs délais.
La vérification sur place des traitements informatiques
La vérification sur place n’a pas établi avec certitude la présence de la mention contestée dans le fichier. Elle a néanmoins permis de constater directement l’absence de protections individuelles et de fonder l’avertissement sur ces insuffisances objectivement relevées.
Textes cités
RGPD & protection des données
Approfondir ce sujet :